Transferência SFTP automatizada usando WinSCP - qual é a segurança para armazenar credenciais em variáveis de ambiente do Windows?

Question

Eu tive que implementar uma transferência de arquivo SFTP automatizada que requer um nome de usuário e senha.

Não querendo deixar a senha em um arquivo de texto / script em lote para o mundo tropeçar, escolhi armazenar o nome de usuário e a senha em variáveis de ambiente de um usuário específico por motivos de segurança.

Quando o script WinSCP automatizado é executado, ele funciona conforme estipulado.

Agora, naturalmente, qualquer usuário com permissões administrativas apropriadas pode editar o registro e localizar as credenciais nele. Embora seja mais seguro que um arquivo de lote padrão, ainda não estou totalmente satisfeito com isso.

O que eu quero saber é se há ou não uma maneira mais segura de armazenar variáveis sensíveis do que isso, e se existe uma abordagem melhor que outras pessoas pensaram?

    

Answer 1

Como mencionado no artigo do WinSCP sobre Segurança de Credenciais (em um contexto um pouco diferente):

It is not possible to securely encrypt passwords in a way that still allows for automatic use.

Embora você possa ocultá-los / ofuscá-los melhor do que armazená-los em texto sem formatação no registro do Windows.

Você pode, por exemplo, usar "string segura" em um script PowerShell de wrapper (consulte ConvertTo-SecureString ). Ou use o PowerShell diretamente para toda a sua transferência com o uso do assembly WinSCP .NET.

Veja outro artigo do WinSCP sobre Protegendo as credenciais usadas para automação .